TLS vs. SSL

Neste artigo

Com tantas violações de dados importantes nas notícias recentemente, você pode se perguntar como seus dados são protegidos quando você está online. Quando você vai a um site para fazer compras e digita o número do seu cartão de crédito, espera-se que, em alguns dias, um pacote chegue à sua porta. Mas, naquele momento, antes de pressionar Pedido, você se pergunta como funciona a segurança online?

Lifewire

Noções básicas de segurança online

Em sua forma básica, a segurança online – a segurança que ocorre entre um computador e um site da Web – é realizada por meio de uma série de perguntas e respostas. Você digita um endereço da web em um navegador e, em seguida, o navegador pede ao site para verificar sua autenticidade. O site responde com as informações adequadas e, após ambos concordarem, o site é aberto no navegador da web. Entre as perguntas feitas e as informações trocadas estão dados sobre o tipo de criptografia que passa as informações do navegador, informações do computador e informações pessoais entre o navegador e o site. Essas perguntas e respostas são chamadas de aperto de mão. Se esse aperto de mão não ocorrer, o site que você está tentando visitar é considerado inseguro.

HTTP x HTTPS

HTTP

Aberto para que todos possam ver ao longo do caminho.
Mais fácil de configurar e executar.
Sem segurança para senhas e dados enviados.

HTTPS

Totalmente criptografado para ocultar informações.
Requer configuração de servidor adicional.
Protege as informações transmitidas, incluindo senhas.

Uma coisa que você pode notar ao visitar sites na web é que alguns têm um endereço que começa com http, e alguns começam com https. HTTP significa protocolo de transferência de hipertexto; é um protocolo ou conjunto de diretrizes que designa a comunicação segura pela Internet. Alguns sites, especialmente aqueles em que é solicitado que você forneça informações confidenciais ou de identificação pessoal, podem exibir https em verde ou em vermelho com uma linha atravessando-o. HTTPS significa Hypertext Transfer Protocol Secure e verde significa que o site tem um certificado de segurança verificável. Vermelho com uma linha atravessada significa que o site não tem um certificado de segurança ou que o certificado está incorreto ou expirou. É aqui que as coisas ficam um pouco confusas. HTTP não significa que os dados transferidos entre um computador e um site são criptografados. Significa apenas que o site que está se comunicando com o navegador tem um certificado de segurança ativo. Só quando um S (como em HTTPS) está incluído nos dados transferidos de forma segura e há outra tecnologia em uso que torna possível essa designação segura.

SSL vs. TLS

SSL

Originalmente desenvolvido em 1995.
Nível anterior de criptografia da web.
Ficou atrás do rápido crescimento da Internet.

TLS

Iniciado como a terceira versão do SSL.
Segurança da camada de transporte.
Continuação do aprimoramento da criptografia usada em SSL.
Adicionadas correções de segurança para novos tipos de ataques e falhas de segurança.

SSL era o protocolo de segurança original para garantir que os sites e os dados transmitidos entre os sites estivessem seguros. De acordo com a GlobalSign, o SSL foi introduzido em 1995 como versão 2.0. A primeira versão (1.0) nunca chegou ao domínio público. A versão 2.0 foi substituída pela versão 3.0 dentro de um ano para resolver vulnerabilidades no protocolo. Em 1999, outra versão do SSL, chamada Transport Layer Security (TLS), foi introduzida para melhorar a velocidade da conversa e a segurança do handshake. TLS é a versão que está em uso atualmente, embora seja freqüentemente referida como SSL por uma questão de simplicidade.

Compreendendo o protocolo SSL

Vantagens

Oculta informações definidas entre um computador e um site.
Protege as informações de login.
Protege as compras online.

Desvantagens

Não protege contra todas as ameaças.
Não é possível proteger você em sites que não usam SSL.
Não é possível ocultar quais sites você visita.

Quando você pensa em compartilhar um aperto de mão com alguém, isso significa que há uma segunda parte envolvida. A segurança online é praticamente a mesma coisa. Para que o handshake que garante a segurança online ocorra, deve haver uma segunda parte envolvida. Se HTTPS é o protocolo que o navegador da web usa para garantir a segurança, a segunda metade desse handshake é o protocolo que garante a criptografia. Criptografia é a tecnologia usada para disfarçar dados que são transferidos entre dois dispositivos em uma rede. Isso é conseguido transformando caracteres reconhecíveis em rabiscos irreconhecíveis que podem retornar ao seu estado original usando uma chave de criptografia. Isso foi originalmente realizado por meio de uma tecnologia chamada segurança Secure Socket Layer (SSL). SSL era a tecnologia que transformava qualquer movimento de dados entre um site e um navegador em algo sem sentido e, em seguida, em dados novamente. Funciona assim:

Você abre um navegador e digita o endereço do seu banco.
O navegador bate na porta do banco e apresenta você.
O porteiro verifica se você é quem diz ser e concorda em deixá-lo entrar sob certas condições.
O navegador da web concorda com essas condições e, em seguida, você tem permissão para acessar o site do banco.

O processo se repete quando você insere seu nome de usuário e senha, com algumas etapas adicionais.

Você insere seu nome de usuário e senha para obter acesso à sua conta.
Seu navegador da web informa ao gerente da conta do banco que você gostaria de acessar sua conta.
Eles conversam e concordam que, se você fornecer as credenciais corretas, o acesso será concedido. No entanto, essas credenciais precisam ser apresentadas em uma linguagem especial.
O navegador da web e o gerente da conta do banco concordam com o idioma que será usado.
O navegador da web converte seu nome de usuário e senha naquele idioma especial e os passa para o gerente da conta do banco.
O gerente da conta recebe os dados, os decodifica e os compara com seus registros.
Se suas credenciais corresponderem, você terá acesso à sua conta.

O processo ocorre em nanossegundos, então você não percebe o tempo que leva para a conversa e o handshake acontecerem entre o navegador da web e o site.

Criptografia TLS

Vantagens

Criptografia mais segura.
Oculta dados entre um computador e sites.
Melhor processo de handshake ao negociar comunicação criptografada.

Desvantagens

Nenhuma criptografia é perfeita.
Não protege o DNS automaticamente.
Não é totalmente compatível com versões anteriores.

A criptografia TLS foi introduzida para melhorar a segurança dos dados. Embora SSL fosse uma boa tecnologia, a segurança muda em um ritmo rápido e isso levou à necessidade de uma segurança melhor e mais atualizada. O TLS foi construído na estrutura de SSL com melhorias nos algoritmos que governam as comunicações e o processo de handshake.

Qual versão do TLS é a mais atual?

Tal como acontece com SSL, a criptografia TLS continuou a melhorar. A versão atual do TLS é 1.2, mas o TLSv1.3 foi elaborado e algumas empresas e navegadores usaram a segurança por curtos períodos de tempo. Na maioria dos casos, eles revertem para o TLSv1.2 porque a versão 1.3 ainda está sendo aperfeiçoada. Quando finalizado, o TLSv1.3 trará inúmeras melhorias de segurança, incluindo suporte aprimorado para tipos de criptografia mais atuais. No entanto, o TLSv1.3 também deixará de oferecer suporte para versões mais antigas de protocolos SSL e outras tecnologias de segurança que não são mais robustas o suficiente para garantir a segurança e criptografia adequadas de dados pessoais.